NtCreateJobObject

Prototype

NTSTATUS NtCreateJobObject(
  PHANDLE            JobHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 B4 00 00 00      mov eax, 0xB4
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

NtCreateJobObject alloue une structure noyau `_EJOB` et retourne un handle. Seule, elle ne fait rien d'observable : l'objet prend du sens dès que des processus y sont assignés via NtAssignProcessToJobObject et qu'une politique y est appliquée via NtSetInformationJobObject. Les jobs sont le socle du sandboxing Windows — les renderers Chromium / Edge, AppContainer / Windows Sandbox et la gestion moderne des processus enfants Win32 reposent tous sur les jobs. Les jobs imbriqués (Win8+) permettent de superposer des politiques sans casser les assignations antérieures. Le SSN dérive toutes les quelques mises à jour majeures.

Usage courant par les malwares

Presque entièrement bénin. Le schéma offensif intéressant est l'inverse — *s'échapper* d'un job via PROCESS_CREATE_FLAGS_BREAKAWAY_FROM_JOB lors d'un spawn enfant (quand le job le permet) ou en terminant le processus contrôleur pour que la politique JOB_OBJECT_LIMIT_KILL_ON_JOB_CLOSE se déclenche et efface des preuves. Un petit nombre d'outils red-team créent leur propre job pour appliquer JobObjectExtendedLimitInformation avec JOB_OBJECT_LIMIT_KILL_ON_JOB_CLOSE à un stager qui s'autodétruit si l'implant disparaît. Signal offensif faible — honnêtement, les jobs sont partout sur un système sain.

Opportunités de détection

Sysmon n'a pas d'événement dédié aux job objects aujourd'hui. La télémétrie utile vient d'ETW Microsoft-Windows-Kernel-Process (les enregistrements de démarrage de processus exposent l'ID du job via TokenInformation) et de hooks EDR sur ntdll!NtCreateJobObject combinés à ntdll!NtAssignProcessToJobObject. L'angle blue-team n'est pas « qui a créé un job » (tout le monde le fait) mais « qui a créé un job incluant un processus qu'il n'a pas lancé » — signe d'une tentative de confinement ou de contrôle de terminaison. À combiner avec NtSetInformationJobObject(JobObjectExtendedLimitInformation) pour signaler KILL_ON_JOB_CLOSE sur des jobs inhabituels.

Exemples de syscalls directs

; Direct syscall stub for NtCreateJobObject (SSN 0xB4 on Win11 24H2 / Server 2025)
NtCreateJobObject PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 0B4h         ; SSN for win11-24h2
    syscall
    ret
NtCreateJobObject ENDP

// First step of a sandboxed child-process pattern.
// Pair with NtAssignProcessToJobObject + NtSetInformationJobObject to fully wire it up.
HANDLE hJob = NULL;
NTSTATUS s = NtCreateJobObject(&hJob,
                               JOB_OBJECT_ALL_ACCESS,
                               NULL);   // anonymous, unnamed
if (!NT_SUCCESS(s)) return s;

// At this point hJob is empty; nothing happens to any process until
// NtAssignProcessToJobObject(hJob, hChild) is called.

// Cargo: windows-sys = "0.59"  (Win32_System_JobObjects)
use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_create_job_object_stub() {
    asm!(
        "mov r10, rcx",
        "mov eax, 0xB4",    // Win11 24H2; resolve dynamically for other builds
        "syscall",
        "ret",
        options(noreturn),
    );
}

Mappings MITRE ATT&CK

• T1106Native APImitre ↗
• T1564Hide Artifactsmitre ↗